CFO Gözünden Siber Güvenlik Yatırımları

Siber saldırılar, günümüzün dijital çağında şirketler için en büyük tehditlerden biri haline gelmiştir. Finansal kurumlar hassas verileri nedeniyle bu saldırıların başlıca hedefidir. CFO'lar artık siber güvenliği sadece bir "maliyet" kalemi olarak değil, iş sürekliliği ve rekabet avantajı sağlayan stratejik bir "yatırım" olarak görmelidir. Siber güvenlik yatırımlarını ihmal eden şirketler, itibar kaybı, finansal zarar ve hatta iflas gibi ciddi sonuçlarla karşılaşabilir.

Bu tehditlerin farkında olan bankacılık sektörü, bilgi teknolojisine, dijital dönüşüme ve siber güvenlik alanlarına büyük yatırımlar yapıyor. Gartner araştırmasına göre, bankacılık sektörünün yılda yaklaşık 650 milyar dolarlık BT harcamasıyla, global çapta 4 trilyon dolarlık bu pastanın önemli bir bölümünü oluşturuyor. McKinsey'in araştırması da bu durumu doğruluyor. Bunlara ek olarak IANS Research tarafından yayımlanmış olan 2024 Security “Budget Benchmark Summary Report” da ise benzer şekilde hem şirket gelirine hem de BT bütçelerine göre siber güvenlik bütçelerinin oransal olarak arttığını göstermektedir. Bankalar, gelirlerinin yaklaşık %6 ila %12'sini BT ve BT ilişkili siber güvenlik yatırımlarına ayırırken, bu oranın diğer sektörlerden çok daha yüksek olduğu görülmektedir.

Bu yazıdaki yaklaşımlar, özellikle banka CFO'ları ve finans sektöründe görev yapmakta olan yöneticiler için, siber güvenlik bütçesi oluşturma sürecinde bir yol haritası sunmaktır. Risk değerlendirmesinden performans ölçümüne kadar oldukça kritik düzeydeki aşamaları ele almaya çalıştığımız bu yol haritasında, kurumların siber tehditler karşısında etkin bir koruma sağlamak için ihtiyaç duyduğu stratejileri ve yatırım alanlarını ortaya koymaktır.

Yazının tamamı için tıklayın.

Siber Güvenlik Bütçesi Oluşturma Süreci

Siber güvenlik bütçesinin oluşturulmasındaki ilk adım, kapsamlı bir risk değerlendirmesi yapmaktır. Bu süreçte/adımda, bankanın veya finansal herhangi bir kuruluşun dijital varlıklarını, müşteri verilerini ve finansal sistemlerini tehdit eden potansiyel riskler analiz edilmelidir.

CFO'lar, bu değerlendirme sonucunda en kritik tehditleri anlamakta ve bütçe tahsisini buna göre yapmaktadır. Yapılan değerlendirmede iç ve dış tehditler, veri ihlalleri, fidye (Ransomware) ve zararlı (Malware) yazılımları, sosyal mühendislik saldırıları gibi faktörler göz önünde bulundurulmalıdır. Risklerin realize edilmesi halinde, finansal kuruluşların/bankanın finansal kayıpların yanı sıra, itibar zedelenmesi ve yasal yaptırımlarla da karşılaşma olasılığı değerlendirilmelidir.

Bu risklerin doğru yönetilebilmesi için, kapsamlı bir risk değerlendirmesini destekleyen temel adımların atılması gereklidir. Varlık envanterinin çıkarılması, tehdit analizinin yapılması ve zafiyetlerin tespit edilmesi gibi adımlar, riskleri somutlaştırmak ve etkili bir şekilde önceliklendirmek için kritik öneme sahiptir.

Varlık Envanteri: Bankanın tüm dijital varlıklarının ve sistemlerinin kapsamlı bir listesi oluşturulur.

Tehdit Analizi: Potansiyel siber tehditleri ve bunların olası etkileri değerlendirilir.

Zafiyet Taraması: Mevcut sistemlerdeki güvenlik açıkları tespit edilir ve önceliklendirilir.

Risk Matrisi Oluşturma: Tespit edilen riskler, olasılık ve etki düzeylerine göre sınıflandırılır.

Yazının tamamı için tıklayın.

Yasal ve Düzenleyici Uyumluluk

Finans sektöründe faaliyet gösteren kurumlar/kuruluşlar için yasal ve düzenleyici uyumluluk, siber güvenlik bütçesinin önemli bir bölümünü oluşturmaktadır. Günümüzde CFO’lar, PCI DSS (Ödeme Kartı Endüstrisi Veri Güvenliği Standardı), GDPR (Genel Veri Koruma Yönetmeliği), DORA (Dijital Operasyonel Dayanıklılık Yasası), KVKK (Kişisel Verilerin Korunması Kanunu), SPK (Sermaye Piyasası Kurulu) ve BDDK (Bankacılık Düzenleme ve Denetleme Kurumu) gibi yerel ve uluslararası düzenlemelere/yasalara uyum sağlamak için gerekli kaynakları tahsis etmeleri gerekliliği kaçınılmazdır.

Uyumluluk çalışmaları, düzenli denetimler, veri koruma süreçlerinin iyileştirilmesi, personel eğitimleri ve gerekli teknolojik altyapının kurulmasını kapsamaktadır. Ayrıca, düzenleyici gereksinimlerdeki değişiklikleri takip etmek ve bunlara hızlı bir şekilde adapte olabilmek için esnek bir bütçe planlaması yapılmalıdır. Uyum sağlanmadığı durumlarda ortaya çıkması kaçınılmaz olan ceza ve itibar kaybı gibi hususlar göz önüne alındığında, bu alana yapılan yatırımların hayati önem taşıdığı görülmektedir.

Yazının tamamı için tıklayın.

Bütçe İzleme ve Performans Ölçümü

Siber güvenlik yatırımlarının etkinliğini değerlendirmek ve bütçeyi optimize etmek için sürekli izleme ve performans ölçümünü gerçekleştirmek oldukça önemlidir. CFO’lar, siber güvenlik harcamalarının bankanın veya finansal kuruluşun/kurumun genel stratejik hedefleriyle uyumlu olup olmadığını düzenli olarak değerlendirmelidir. Bu süreç, yatırım getirisi (ROI) analizlerini, risk azaltma ölçümlerini ve anahtar performans göstergelerinin (KPI) takibini içermektedir.

Yazının tamamı için tıklayın.

Sonuç

CFO’ların beklentileri ve şirket stratejisine katkıları göz önünde bulundurulduğunda, siber güvenlik yatırımlarının önemi daha da belirginleşmektedir. Bain&Company blog yazısına göre, CFO’lar yönetim kurullarından strateji, performans yönetimi ve risk yönetimi konularında daha fazla katkı beklemektedir. Bu beklentiler doğrultusunda, CFO’ların siber güvenlik risklerini proaktif olarak yönetmeleri ve şirketin uzun vadeli stratejilerine uygun yatırımlar yapmaları beklenmektedir.

Bu bilgiler doğrultusunda, CFO’lar gelecek dönem bütçe planlamasında stratejik bir yaklaşım benimseyerek kaynakları en yüksek riskleri azaltacak ve kuruma/kuruluşa en büyük koruma sağlayacak alanlara yönlendirmeyi hedefleyebilir. CFO’lar ve CISO’lar arasındaki iş birliğini güçlendirmek, siber güvenlik stratejilerinin etkinliğini artırmada kritik bir rol oynar. Gartner’ın bu konudaki önerileri, CFO’ların CISO’larla daha verimli bir şekilde çalışmasına ve siber güvenlik yatırımlarından en iyi şekilde faydalanmasına yardımcı olabilir.

Siber güvenlik yatırımlarının etkinliğini artırmak için performans göstergelerini düzenli olarak takip etmeleri ve yatırımların kurumun genel finansal hedefleriyle uyumlu olup olmadığını değerlendirmeleri gerekmektedir. Ayrıca, siber güvenlik stratejisini dinamik bir yapıya kavuşturarak değişen tehditlere karşı esneklik sağlamaları önemlidir. Bu sayede, CFO’lar kurumlarının/kuruluşlarının siber dayanıklılığını ve esnekliğini güçlendirici, uzun vadeli güvenlik hedeflerini destekleyen etkili, sürdürülebilir bütçeler oluşturabilirler.